Parteien

1. [Kundenname], mit Geschäftssitz unter [Adresse], eingetragen unter Unternehmensregisternummer [Nummer], rechtlich vertreten durch [Name, Funktion], im Folgenden "Verantwortlicher" oder "Kunde";
2. SalesNote BV, handelnd unter dem Namen Claritalk, mit Geschäftssitz unter Staatsbaan 305, 9870 Zulte, eingetragen unter Unternehmensregisternummer BE 0765.323.961, im Folgenden "Auftragsverarbeiter" oder "Claritalk".

Präambel

• Claritalk stellt eine Plattform für Conversational Intelligence (die "Plattform") bereit, die Geschäftsgespräche (Meetings, Telefongespräche, Interviews) aufnimmt oder empfängt, transkribiert und mithilfe von KI in Zusammenfassungen, Aufgaben, Fallwissensdatenbank und Insights umwandelt.
• Die Parteien haben einen Hauptvertrag oder ein Abonnement abgeschlossen (die "Hauptvereinbarung"), in dem Claritalk personenbezogene Daten im Auftrag des Kunden verarbeitet.
• Diese Verarbeitungsvereinbarung (die "Vereinbarung") ist ein integraler Bestandteil der Hauptvereinbarung. Im Falle von Widersprüchen bei der Verarbeitung personenbezogener Daten hat diese Vereinbarung Vorrang.

Artikel 1. Definitionen

Begriffe in dieser Vereinbarung haben die Bedeutung aus Verordnung (EU) 2016/679 (die "DSGVO"). Darüber hinaus gilt:

• Personenbezogene Daten: alle personenbezogenen Daten, die Claritalk im Auftrag des Kunden verarbeitet, wie in Anlage 1 beschrieben.
• Kundeninhalt: Audioaufnahmen, Transkripte, Zusammenfassungen, Aufgaben, Notizen, Anhänge, Chatmeldungen mit dem KI-Assistenten ("Clara") und andere Inhalte, die vom Kunden oder für den Kunden auf der Plattform bereitgestellt oder generiert werden.
• Unterauftragsverarbeiter: ein Dritter, den Claritalk einsetzt und der Zugriff auf personenbezogene Daten erhält (Anlage 3).
• Kundenintegration: eine Verbindung mit einem System des Kunden (z. B. CRM, Buchhaltungs- oder Kalendersoftware), die der Kunde selbst aktiviert (Anlage 4).
• Verletzung: eine Verletzung personenbezogener Daten wie in Artikel 4 Absatz 12) DSGVO definiert.
• EWR: der Europäische Wirtschaftsraum.

Artikel 2. Gegenstand, Art und Zweck der Verarbeitung

1. Claritalk verarbeitet personenbezogene Daten ausschließlich zur Bereitstellung der Plattform wie in der Hauptvereinbarung vereinbart. Art, Zweck, Dauer und Kategorien der Daten und betroffenen Personen sind in Anlage 1 aufgeführt.

2. Die Verarbeitung umfasst insbesondere:

   1. die Aufnahme oder den Empfang von Audio über die Web- und Mobile-App, einen Meeting-Bot (Microsoft Teams, Google Meet, Zoom) oder Telefonie-Integrationen;
   2. die (Echtzeit- oder nachträgliche) Transkription dieses Audio, einschließlich Sprechererkennung und Übersetzung;
   3. die Generierung von Zusammenfassungen, Aufgaben, Gesprächsanalysen und Antworten durch KI-Sprachmodelle;
   4. die Indexierung und Durchsuchbarmachung von Kundeninhalten;
   5. die Synchronisierung von Daten mit Kundenintegrationen auf Anfrage des Kunden;
   6. das Versenden von E-Mails und Push-Benachrichtigungen, die sich auf die Nutzung der Plattform beziehen.
3. Claritalk verarbeitet die personenbezogenen Daten nur auf Basis schriftlicher Anweisungen des Kunden. Die Hauptvereinbarung, diese Vereinbarung und die Konfiguration, die der Kunde in der Plattform wählt, gelten als solche Anweisungen.
4. Claritalk nutzt Kundeninhalt nicht zum Trainieren eigener KI-Modelle oder von Unterauftragsverarbeitern, es sei denn, der Kunde stimmt dem vorher ausdrücklich schriftlich zu.
5. Claritalk darf anonymisierte oder aggregierte Nutzungsdaten (z. B. Anzahl der Meetings, KI-Token-Verbrauch) für Abrechnung, Kapazitätsplanung und Produktverbesserung nutzen, solange diese nicht auf Personen zurückzuführen sind.

Artikel 3. Pflichten des Auftragsverarbeiters

1. Claritalk verarbeitet personenbezogene Daten nur gemäß den dokumentierten Anweisungen des Kunden, auch bei Übermittlung an ein Drittland, es sei denn, eine Rechtsvorschrift der EU oder eines Mitgliedstaates verpflichtet Claritalk zur Verarbeitung. In diesem Fall teilt Claritalk diese Verpflichtung dem Kunden vorher mit, es sei denn, das Gesetz verbietet dies.
2. Claritalk teilt dem Kunden sofort mit, wenn eine Anweisung nach seinem Ermessen gegen die DSGVO oder andere Datenschutzgesetze verstößt.
3. Claritalk stellt sicher, dass Personen, die zur Verarbeitung personenbezogener Daten berechtigt sind, an eine Geheimhaltungsverpflichtung gebunden sind und nur in dem Umfang Zugriff erhalten, den ihre Aufgabe erfordert.
4. Der Zugriff von Claritalk-Mitarbeitern auf ein Kundenkonto (z. B. für Support über die Funktion "Impersonation") erfolgt nur auf Anfrage oder mit Zustimmung des Kunden und wird protokolliert.
5. Claritalk führt ein Register der Verarbeitungstätigkeiten wie in Artikel 30 Absatz 2 DSGVO aufgeführt.
6. Claritalk unterstützt den Kunden angemessen bei Datenschutzfolgenabschätzungen (DSFA) und vorherigen Konsultationen mit der Aufsichtsbehörde.
7. Der Kunde bleibt für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für die Information der Gesprächsteilnehmer über die Aufnahme und, soweit erforderlich, für die Einholung ihrer Zustimmung.

Artikel 4. Unterauftragsverarbeiter

1. Der Kunde erteilt Claritalk eine allgemeine schriftliche Genehmigung zur Einsetzung der Unterauftragsverarbeiter in Anlage 3.
2. Claritalk informiert den Kunden mindestens 30 Tage vor dem Hinzufügen oder Austausch eines Unterauftragsverarbeiters per E-Mail oder über die Plattform. Der Kunde kann innerhalb dieser Frist begründet Einspruch erheben. Sollte sich keine Lösung innerhalb angemessener Zeit finden, darf der Kunde den betroffenen Teil des Service kündigen, ohne dass Anspruch auf Schadensersatz für beide Parteien besteht.
3. Claritalk verpflichtet jeden Unterauftragsverarbeiter schriftlich auf die gleichen Datenschutzverpflichtungen wie in dieser Vereinbarung, insbesondere auf angemessene technische und organisatorische Maßnahmen.
4. Claritalk haftet dem Kunden gegenüber vollständig für die Erfüllung der Verpflichtungen seiner Unterauftragsverarbeiter.
5. Anbieter von Kundenintegrationen (Anlage 4) sind keine Unterauftragsverarbeiter von Claritalk. Sie werden vom Kunden selbst ausgewählt und aktiviert; der Kunde hat mit diesen Parteien ein eigenes vertragliches Verhältnis.

Artikel 5. Übermittlung außerhalb des EWR

1. Claritalk verarbeitet und speichert personenbezogene Daten ausschließlich im EWR. Hosting und Speicherung erfolgen bei TransIP in den Niederlanden; alle Unterauftragsverarbeiter verarbeiten die Daten in einer EU-Region (Anlage 3).

2. Einige Unterauftragsverarbeiter sind Teil einer Gruppe mit Hauptsitz außerhalb des EWR, z. B. in den Vereinigten Staaten. Sollte es trotzdem zu einer Übermittlung oder zu Zugriffen von außerhalb des Landes kommen (z. B. für Support oder Wartung), erfolgt dies nur mit angemessenen Schutzmaßnahmen gemäß Kapitel V DSGVO:

   1. Zertifizierung unter dem EU-US-Datenschutzrahmen; oder
   2. die von der Europäischen Kommission genehmigten Standarddatenschutzklauseln (Beschluss (EU) 2021/914), ergänzt um eine Transferauswirkungsbewertung und, soweit erforderlich, zusätzliche Maßnahmen.
3. Claritalk verlagert die Verarbeitung nicht außerhalb des EWR, ohne den Kunden vorher gemäß Artikel 4.2 zu informieren.
4. Auf Anfrage stellt Claritalk dem Kunden eine Kopie der relevanten Schutzmaßnahmen zur Verfügung.

Artikel 6. Sicherheit

1. Claritalk trifft angemessene technische und organisatorische Maßnahmen gemäß Artikel 32 DSGVO, wobei der Stand der Technik, die Kosten und die Risiken für betroffene Personen berücksichtigt werden. Gesprächsaufnahmen können vertrauliche und sensible Informationen enthalten; das Sicherheitsniveau trägt dem Rechnung.
2. Die Maßnahmen, die zum Zeitpunkt dieser Vereinbarung gelten, sind in Anlage 2 aufgeführt. Claritalk darf diese ändern, vorausgesetzt, dass sich das Gesamtschutzniveau nicht verschlechtert.
3. Claritalk testet, bewertet und evaluiert die Wirksamkeit dieser Maßnahmen regelmäßig.

Artikel 7. Datenschutzverletzungen

1. Claritalk meldet eine Verletzung ohne ungerechtfertigte Verzögerung und spätestens innerhalb von 48 Stunden nach Kenntnis davon dem Kunden unter [E-Mail-Adresse/Kontaktperson des Kunden].
2. Die Benachrichtigung enthält, soweit bekannt: die Art der Verletzung, die Kategorien und die geschätzte Anzahl betroffener Personen und Datensätze, die wahrscheinlichen Folgen, die ergriffenen und vorgeschlagenen Maßnahmen sowie einen Kontaktpunkt bei Claritalk. Informationen, die noch nicht verfügbar sind, werden so bald wie möglich nachgereicht.
3. Claritalk ergreift sofort angemessene Maßnahmen, um die Verletzung einzudämmen und die Folgen zu begrenzen, und dokumentiert jede Verletzung.
4. Der Kunde entscheidet, ob die Verletzung der Aufsichtsbehörde und/oder den betroffenen Personen gemeldet wird. Claritalk tut dies nicht selbst, es sei denn, das Gesetz verpflichtet ihn dazu.

Artikel 8. Rechte betroffener Personen und Unterstützung

1. Claritalk unterstützt den Kunden mit angemessenen technischen und organisatorischen Maßnahmen bei der Beantwortung von Anfragen betroffener Personen (Auskunft, Berichtigung, Löschung, Einschränkung, Datenportabilität und Widerspruch).
2. Die Plattform bietet dem Kunden hierfür Funktionalität, einschließlich der Möglichkeit, Meetings, Transkripte und Dossiers einzusehen, zu bearbeiten und zu löschen, Berichte zu exportieren (PDF, Word, Excel) und Benutzer zu löschen.
3. Erhält Claritalk direkt eine Anfrage von einer betroffenen Person, leitet er diese ohne unnötige Verzögerung an den Kunden weiter und beantwortet sie nicht selbst, es sei denn, der Kunde fordert ihn dazu auf.
4. Unterstützung, die über die Standardfunktionalität der Plattform hinausgeht, darf Claritalk dem Kunden nach vorheriger Zustimmung zu den üblichen Sätzen in Rechnung stellen.

Artikel 9. Audit

1. Claritalk stellt dem Kunden alle Informationen zur Verfügung, die notwendig sind, um die Einhaltung von Artikel 28 DSGVO nachzuweisen.
2. Der Kunde darf höchstens einmal pro Kalenderjahr ein Audit durchführen lassen, entweder selbst oder durch einen unabhängigen Auditor mit Geheimhaltungsverpflichtung. Bei einem Verdacht auf eine schwerwiegende Verletzung oder auf Anordnung einer Aufsichtsbehörde gilt diese Einschränkung nicht.
3. Der Kunde kündigt ein Audit mindestens 30 Tage vorher schriftlich an. Das Audit stört den Geschäftsbetrieb von Claritalk nicht unangemessen und gewährt keinen Zugriff auf Daten anderer Kunden.
4. Die Kosten des Audits trägt der Kunde, es sei denn, das Audit deckt eine wesentliche Nichterfüllung von Claritalk auf.
5. Claritalk beantwortet eine Auditanfrage zunächst schriftlich mit einem ausgefüllten standardisierten Sicherheitsfragebogen und, falls verfügbar, aktuellen Zertifizierungen oder Auditberichten von Claritalk oder seinen Unterauftragsverarbeitern. Ein Vor-Ort-Audit ist nur möglich, wenn diese Informationen angemessenerweise unzureichend sind, um die Einhaltung nachzuweisen.

Artikel 10. Laufzeit, Speicherung und Löschung

1. Diese Vereinbarung läuft, solange die Hauptvereinbarung läuft und solange Claritalk danach noch personenbezogene Daten des Kunden verarbeitet.
2. Während der Laufzeit bestimmt der Kunde die Aufbewahrungsfristen. Die Plattform ermöglicht es, pro Organisation eine Aufbewahrungsfrist für Meetings und eine separate Aufbewahrungsfrist für Audioaufnahmen zu konfigurieren; nach Ablauf löscht eine tägliche Aufgabe die betreffenden Daten automatisch.
3. Darüber hinaus gelten folgende Fristen als Standard:

4. Nach Ablauf der Hauptvereinbarung löscht Claritalk alle personenbezogenen Daten innerhalb von 30 Tagen, oder gibt sie auf Anfrage des Kunden zunächst in einem gangbaren Format zurück. Kopien in Sicherungen werden gemäß dem normalen Sicherungszyklus von maximal 2 Monaten überschrieben und werden bis dahin nicht aktiv genutzt.
5. Claritalk bestätigt die Löschung auf Anfrage schriftlich. Die Speicherung bleibt möglich, soweit dies eine gesetzliche Verpflichtung erfordert.

Artikel 11. Haftung und Schlussbestimmungen

1. Die Haftung der Parteien unter dieser Vereinbarung unterliegt der Haftungsregelung der Hauptvereinbarung, ohne Beeinträchtigung von Artikel 82 DSGVO.
2. Änderungen an dieser Vereinbarung sind nur gültig, wenn beide Parteien sie schriftlich annehmen. Eine Aktualisierung von Anlage 3 gemäß Artikel 4 erfordert keine neue Unterzeichnung.
3. Ist eine Bestimmung nichtig oder nicht durchsetzbar, bleiben die übrigen Bestimmungen gültig. Die Parteien ersetzen die ungültige Bestimmung durch eine gültige, die dem Zweck so nahe wie möglich kommt.
4. Diese Vereinbarung unterliegt belgischem Recht. Streitigkeiten werden den zuständigen Gerichten von Courtrai unterbreitet.

Unterzeichnung

Ausgefertigt in [Ort] am [Datum] in zwei Ausfertigungen.

Anlage 1. Beschreibung der Verarbeitung

Kategorien betroffener Personen

• Nutzer der Plattform (Mitarbeiter und Administratoren des Kunden)
• Gesprächsteilnehmer: Kunden, Interessenten, Lieferanten, Kandidaten, Kollegen und andere Personen, die an aufgenommenen Gesprächen teilnehmen oder in ihnen erwähnt werden
• Kontakte und Beziehungen aus verbundenen Systemen des Kunden (CRM, Buchhaltung, Kalender)

Kategorien personenbezogener Daten

• Konto- und Identitätsdaten: Name, E-Mail-Adresse, Profilfoto, Funktionsbezeichnung, Sprache, Organisation und Team, Rolle und Berechtigungen, Anmeldedaten (gehashte Passwörter, 2FA-Einstellungen, SSO-Verbindung mit Microsoft oder Google)
• Gesprächsinhalte: Audioaufnahmen, Transkripte mit Sprecherkennungen, Zusammenfassungen, Aufgaben, Notizen, Gesprächsthemen, Analysen und Bewertungen von Gesprächen
• Kalender- und Meeting-Daten: Titel, Zeitpunkt, Teilnehmer (Name, E-Mail-Adresse), Meeting-Link
• Fall- und Beziehungsdaten: Namen, Kontaktdaten und Unternehmensdaten von Kontakten, synchronisiert aus Kundenintegrationen
• Anhänge: Dokumente, die Nutzer zu Meetings oder Fällen hinzufügen
• Chat-Daten: Fragen an und Antworten des KI-Assistenten
• Telefonie-Daten (falls aktiviert): Telefonnummer, Zeitpunkt und Dauer von Gesprächen
• Technische Daten: IP-Adresse, Geräte- und Browser-Daten, Push-Benachrichtigungstokens, Protokolldateien, Fehlermeldungen, Nutzungsstatistiken

Besondere Kategorien

Die Plattform ist nicht für besondere Kategorien personenbezogener Daten (Artikel 9 DSGVO) oder strafrechtliche Daten (Artikel 10 DSGVO) konzipiert. Da Gespräche frei verlaufen, können diese diese trotzdem enthalten (z. B. Gesundheit während eines HR-Gesprächs). Darüber hinaus ist eine Stimmaufnahme technisch ein biometrisches Datum, aber die Plattform nutzt Stimmen nicht zur eindeutigen Identifizierung von Personen. Der Kunde beurteilt, ob seine Nutzung eine DSFA erfordert.

Anlage 2. Technische und organisatorische Maßnahmen

Anlage 3. Liste der Unterauftragsverarbeiter

Claritalk setzt zum Zeitpunkt dieser Vereinbarung die nachstehenden Unterauftragsverarbeiter ein. Die Liste ist aus der Konfiguration und den Abhängigkeiten der Plattform abgeleitet. Alle Unterauftragsverarbeiter verarbeiten personenbezogene Daten in einer EU-Region.

Infrastruktur und Speicher

Transkription und Sprache

KI-Sprachmodelle

Kommunikation

Überwachung, Analytik und Support

Anlage 4. Optionale Integrationen auf Initiative des Kunden

Der Kunde kann die Plattform mit den nachstehenden Systemen verbinden. Daten werden nur ausgetauscht, nachdem der Kunde die Verbindung selbst aktiviert und genehmigt hat (normalerweise über OAuth). Diese Anbieter sind keine Unterauftragsverarbeiter von Claritalk (Artikel 4.5).